Iptable与firewalld防火墙
一、防火墙管理工具
1）在RHEL7系统中firewalld服务取代了Iptables服务，但是依然使用Iptables命令来管理系统内核的网络过滤器netfilter。
二、规则链与策略
1）Iptables命令用于创建数据过滤与NAT规则，Iptables命令规则中常见的控制类型有：
ACCEPT：允许通过
LOG：记录日志信息，然后传递给下一条规则继续匹配
REJECT：拒绝通过，必要时会提示
DROP：直接丢弃
2）规则链是依据处理数据包的位置不同来进行分类：
PREROUTE：进行路由选择前处理数据包
INPUT：处理入站的数据包
OUTPUT：处理出站的数据包
FORWARD：处理转发的数据包
POSTROUTE：路由选择后处理数据包
Iptables中的规则表是用于容纳规则链，规则表默认是允许状态，那么规则链就设置被禁止的规则，而反之如果规则表是禁止状态，那么规则链就设置被允许的规则。
raw表：确定是否对该数据包进行状态跟踪
managle表：为数据包设置标记
nat表：修改数据包中的源、目的ip或端口
filter表：确实是否放行该数据包（过滤）
Iptables 命令执行后的规则策略仅当前生效，若需重启系统之后依然保存规则并生效需执行“service iptables save”
iptables命令的参数及作用如下：
参数 作用
-P 设置默认策略
-F 清空规则链
-L 查看规则链
-A 在规则链的末尾加入新规则
-I num 在规则链的头部加入新规则
-D num 删除一条规则
-s 匹配源地址IP/MASK，加叹号"!"表示处该地址外
-d 匹配目标地址
-i 网卡名称 匹配从此网卡流入的数据流量
-o 网卡名称 匹配从此网卡流出的数据流量
-p 匹配协议，比如tcp、udp、icmp
--sport 匹配源端口号
--dport 匹配目的端口号
3）iptable命令介绍：
①iptables -t [table] [命令] [chain rules] -m [扩展选项] -j [target]，table可以是filter、nat、managle，默认是filter，命令例如 -P或--policy表示定义默认策略，chain rules表示设置哪个规则链，-j target表示执行的动作，常用的执行动作是ACCEPT、REJECT、DROP、LOG，ACCEPT动作表示放行数据包，REJECT动作表示阻拦数据包并发送阻拦信息通知对方，DROP表示丢弃数据包不予处理，不通知对方。
-m icmp --icmp-type echo-request | echo-reply
-m multiport --dport 目的端口 | --sport | ports
-m iprange --src-range 源地址范围 | --dst-range 目的地址范围
-m limit --limit 300/hour | 300/min | 300/sec 限制某个时间段内不通过300个数据包，一个包1500字节即1500*300=450k，即限速
-m mac --mac-source 用来比对源mac
例如1：iptables -t filter -I FORWARD -s 192.168.10.0/24 -d 192.168.80.0/24 -p icmp -m icmp --icmp-type echo-request -j DROP，表示运行192.168.10.0/24ping通192.168.80.0/24，禁止192.168.80.0/24ping通192.168.10.0/24
例如2：iptables -t filter -I INPUT -p icmp -m icmp --icmp-type echo-request -j DROP，表示禁止其他计算机ping本地Linux系统
例如3：iptables -t filter -I FORWARD -p tcp -s 192.168.80.0/24 -d 192.168.10.0/24 -m multiport --dport 1:1024,3389 -j DROP，-m multiport --dport 表示匹配多个端口，这条规则表示禁止192.168.80.0/24 TCP 连接192.168.10.0/24的1-1024、3389端口
三、SNAT与DNAT
1）SNAT即源地址转换技术，为了让局域网客户机访问外网服务器。
2）DNAT即目的地址转换技术，为了让外网客户机访问局域网服务器。
四、Firewalld防火墙
1）firewalld防火墙是RHEL7系统的防火墙管理工具，可以使用图形化工具firewall-config或文本管理工具firewall-cmd，firewalld中区域zone的概念：
trusted 允许所有数据包通过
home 拒绝流入的数据包，除非与输出的数据包相关或是ssh，mdns，ipp-client，samba-client，dhcpv6-client服务则允许
internal 等同于home区域
work 拒绝流入的数据包，除非与输出的数据包相关或是ssh，ipp-client，dhcpv6-client服务则允许
public 拒绝流入的数据包，除非与输出的数据包相关或是ssh，dhcpv6-client服务则允许
external 拒绝流入的数据包，除非与输出数据包相关或是ssh服务则允许
dmz 拒绝流入的数据包，除非与输出数据包相关或是ssh服务则允许
block 拒绝流入的数据包，除非与输出数据包相关
drop 拒绝流入的数据包，除非与输出数据包相关
2）字符管理工具firewall-cmd
例1：firewall-cmd --get-default-zone，获取默认区域
例2：firewall-cmd --get-zone-of-interface=ens37，获取网卡所在区域
例3：firewall-cmd --zone=public --query-service=ssh，查询ssh服务是否开启
例4：firewall-cmd --parmanent --zone=public --add-service=https，开启https服务并且永久生效
例5：firewall-cmd --runtime --zone=public --add-port=8080，开启8080端口服务仅当前生效
例6：firewall-cmd --parmanent --zone=public --list port，查看开启的端口服务
例7：firewall-cmd --reload，重新加载防火墙
3）firewalld服务有两份规则策略配置记录
RunTime：仅当前生效的
Parmanent：永久生效的
五、服务的访问控制列表
1）允许名单，进入配置文件配置：vi /etc/host.allow
2）拒绝名单，进入配置文件配置：vi /etc/host.deny
